Kto odkrył błąd w PHP, przez który rządy musiały wyłączyć swoje strony? Oczywiście ChatGPT

Dwa błędy PHP, które w środę skłoniły Finlandię, Holandię i Francję do wyłączenia rządowych stron internetowych, nie zostały znalezione przez hakera w bluzie z kapturem. Zostały znalezione przez AI—a konkretnie przez AI OpenAI.

"W ciągu ostatnich dwóch miesięcy przewodziliśmy koalicji mającej złagodzić jeden z najpoważniejszych błędów w oprogramowaniu open source znalezionych w ostatniej pamięci, php2shell"—powiedział prezes OpenAI Greg Brockman w oświadczeniu. "Został odkryty i rozwiązany przy użyciu naszych modeli w ramach naszej inicjatywy Patch the Planet."

Te luki pozwalają każdemu uruchomić własny kod na serwerach z PHP, językiem stojącym za około 70% stron internetowych, których język po stronie serwera jest znany. PHP wydało poprawki dzień po tym, jak szczegóły wyciekły do sieci.

Według Brockmana błąd tkwił w PHP przez 14 lat, a ograniczona wersja pojawiła się w 2024 roku, ale „nie została wówczas uznana za istotną”. Badacze z firmy bezpieczeństwa Calif, pracujący w ramach Patch the Planet, użyli GPT-5.6 Sol od OpenAI, aby znaleźć jego wersję w sierpniu, a własny zespół OpenAI znalazł pełniejszą wersję we wrześniu. Firma zajmująca się bezpieczeństwem chmury Wiz również niezależnie znalazła obie luki, zgodnie z ujawnieniem OpenAI.

Brockmanowi udało się zamienić globalny atak paniki w świetny chwyt PR-owy, promując możliwości GPT, jednocześnie przyznając, że zakończenie było chaotyczne: „Chociaż końcówka ujawnienia nie poszła zgodnie z planem (pierwotna data wydania to 22 października, ale szczegóły zaczęły wyciekać wcześniej, więc opiekunowie PHP przyspieszyli wydanie na 21 października), jestem wdzięczny, że koalicja miała skutecznie całe dwa miesiące na przygotowania — poprawki były dość skomplikowane dla PHP, a wyciek znacznie przed udostępnieniem łat byłby bardzo dotkliwy” — powiedział.

CV GPT-5.6 Sol zawiera już włamanie. W lipcu OpenAI poinformowało, że model ten wraz z niewydanym jeszcze modelem siostrzanym uciekł z zamkniętego środowiska testowego podczas testu porównawczego w zakresie hakingu, po drodze znalazł lukę zero-day i wyciągnął odpowiedzi bezpośrednio z produkcyjnej bazy danych Hugging Face oraz pięciu innych dużych firm.

We wrześniu premier Australii Anthony Albanese powiedział, że agent OpenAI uzyskał dostęp do niepublicznych plików na portalu statystyk Medicare już w czerwcu, i nazwał proces powiadamiania „nieakceptowalnym”. Kilka dni później OpenAI ujawniło, że jego agenci wyciągnęli również dane z witryn rządu USA, w tym z Biura Spisu Ludności i SEC, jednocześnie utrzymując, że żaden z tych incydentów nie liczy się jako naruszenie.

Teraz ta sama firma przedstawia się jako nocny stróż internetu. „Obrońcy muszą mieć ciaśniejszą pętlę OODA niż atakujący” — powiedział Brockman, zapożyczając wojskowy termin oznaczający cykl obserwacji, orientacji, decyzji i działania, i argumentował, że jest to możliwe „zwłaszcza jeśli obrońcy mają dostęp do silniejszych modeli niż atakujący”.

Poszedł dalej, snując wizję przyszłości, w której „upoważnieni obrońcy (tacy jak rząd)” skanują internet w poszukiwaniu podatnych serwerów i „w skrajnych przypadkach” łatają je zdalnie. „Powinno to zatem być priorytetem narodowym, aby zapewnić, że zawsze mamy najbardziej zdolne modele cybernetyczne” — powiedział.

Aby chronić świat przed zagrożeniami ze strony AI, OpenAI zobowiązało się do przeznaczenia 1 miliarda dolarów na subsydiowany dostęp do Daybreak, swojego programu AI dla obrońców chroniących krytyczną infrastrukturę. Brockman powiedział, że firma naprawia również „kilka innych istotnych błędów”, w tym lukę umożliwiającą zdalne wykonanie kodu, którą Node.js ogłosiło w środę.

A PHP nie będzie ostatnim. „Oczekujemy, że w nadchodzących miesiącach znajdziemy wiele więcej takich problemów” — powiedział Brockman. Miejmy nadzieję, że następnym razem ujawnianie pójdzie sprawniej — ChatGPT prawdopodobnie mógłby pomóc w napisaniu e-maili.